Política de correção de bugs de segurança
Para a Atlassian, é prioridade garantir que os sistemas dos clientes não sejam comprometidos explorando as vulnerabilidades nos produtos da Atlassian.
Escopo
Esta política descreve como e quando as vulnerabilidades de segurança são resolvidas nos produtos.
Objetivos de Nível de Serviço (SLOs) de atualização de segurança
A Atlassian define Objetivos de Nível de Serviço para corrigir vulnerabilidades de segurança com base no nível de gravidade de segurança e no produto afetado. As correções de segurança nos produtos seguem os cronogramas a seguir:
Objetivos de resolução acelerada
Esses intervalos de tempo se aplicam a:
- a todos os produtos da Atlassian baseados em nuvem;
- Qualquer software ou sistema gerenciado pela Atlassian
- Qualquer software ou sistema rodando na infraestrutura Atlassian
- Jira Align, versões autogerenciadas e na nuvem
Dependendo do nível de vulnerabilidade, a gente define os seguintes cronogramas para aplicar a correção em um produto após a verificação:
- Crítica: deve ser corrigida em 10 dias.
- Alta: deve ser corrigida em 28 dias.
- Média: deve ser corrigida em 84 dias.
- Baixa: deve ser corrigida em 175 dias.
Cronogramas de Resolução Estendida
Esses objetivos dos intervalos de tempo são válidos para todos os produtos da Atlassian para Data Center e aplicativos móveis. Os produtos de Data Center são instalados pelos clientes em sistemas por eles gerenciados.
- Vulnerabilidades de gravidade crítica, alta e média devem ser corrigidas em um produto no prazo de 90 dias após a verificação
- Vulnerabilidades de gravidade baixa devem ser corrigidas em um produto dentro de 180 dias após a verificação
Modelo de responsabilidade compartilhada
Embora a Atlassian esteja comprometida em oferecer produtos seguros prontos para uso, a gente também confia em um modelo de responsabilidade compartilhada. Esse modelo exige que os clientes implementem práticas que continuem além da implantação e se estendam às fases operacionais. Algumas dessas responsabilidades incluem:
- Operar o software Atlassian em redes privadas.
- Garantir a implementação oportuna das correções de segurança assim que elas forem lançadas.
- Configurar firewalls de aplicativos da web (WAF), VPNs, autenticação multifator e login único.
- Implementar criptografia e controles de acesso.
- Fazer backups regulares.
- Fazer auditorias de segurança regulares.
Vulnerabilidades críticas
Quando vulnerabilidades de segurança críticas forem descobertas pela Atlassian ou relatadas por terceiros, a Atlassian vai:
- Para produtos na nuvem, a gente vai lançar a nova versão corrigida o mais rápido possível
- Para produtos autogerenciados, a gente vai:
- Lançar uma versão com a atualização de segurança para as funções afetadas do produto.
- Lançar uma nova versão para as funções afetadas do produto no cronograma de lançamento.
- lançar uma versão com a atualização de segurança para todas as versões LTS suportadas do produto afetado, conforme a Política de término do suporte da Atlassian.
Produto | Política de back port | Exemplo |
|---|---|---|
| Jira Software Server e Data Center Jira Server e Data Center Jira Service Management Server e Data Center (antes chamado Jira Service Desk) | Lançar novas atualizações de segurança para:
| Por exemplo, se uma atualização de segurança crítica for desenvolvida em 1º de janeiro de 2020, vai ser necessário produzir as seguintes novas versões de atualização de segurança:
|
| Confluence Server e Data Center | Lançar novas atualizações de segurança para:
| Por exemplo, se uma atualização de segurança crítica for desenvolvida em 1º de janeiro de 2020, vai ser necessário produzir as seguintes novas versões de atualização de segurança:
|
| Bitbucket Server e Data Center | Lançar novas atualizações de segurança para:
| Por exemplo, se uma atualização de segurança crítica for desenvolvida em 1º de janeiro de 2020, vai ser necessário produzir as seguintes novas versões de atualização de segurança:
O Bitbucket 6.3.0 foi lançado em 14 de maio de 2019, mais de 6 meses antes da data da correção. Se fosse designado como uma versão de Suporte de longo prazo, também seria produzida uma versão de correção de bug. |
| Versões de atualização de segurança serão lançadas apenas para as versões atual e anterior do função. | Se uma atualização de segurança crítica do Bamboo for desenvolvida em 1º de janeiro de 2020, as seguintes novas versões de atualização de segurança devem ser desenvolvidas:
|
Para Crowd, Fisheye e Crucible, a versão com a atualização de segurança vai ser lançada para a versão mais recente do produto.
Exemplos de correções de vulnerabilidades críticas de produtos autogerenciados:
Se a correção de uma vulnerabilidade crítica foi desenvolvida em 1º de fevereiro de 2024, por exemplo, as seguintes versões receberiam a atualização de segurança:
Produto | Exemplo |
|---|---|
| Jira Software | Exemplo Jira Software 9.13.x, pois 9.13.0 é a versão de funções mais recente |
| Exemplo Jira Software 9.12.x, pois 9.12.0 é a Versão de Suporte de Longo Prazo mais recente | |
| Exemplo Jira Software 9.4.x, pois 9.4.0 é a versão de suporte de longo prazo anterior | |
| Jira Service Management | Exemplo Jira Service Management 5.13.x, pois 5.13.0 é a versão de funções mais recente |
| Exemplo Jira Service Management 5.12.x, pois 5.12.0 é a Versão de Suporte de Longo Prazo | |
| Exemplo Jira Service Management 5.4.x, pois 5.4.0 é a segunda versão de suporte de longo prazo suportada mais recente | |
| Confluence | Exemplo Confluence 8.7.x, pois 8.7.0 é a versão de funções mais recente |
| Exemplo Confluence 8.5.x, pois 8.5.0 é a Versão de Suporte de Longo Prazo mais recente | |
| Exemplo Confluence 7.19.x pois 7.19.0 é a segunda versão mais recente da Versão de Suporte de Longo Prazo | |
| Bitbucket | Exemplo Bitbucket 8.17.x, pois 8.17.0 é a versão de funções mais recente |
| Exemplo Bitbucket 8.9.x, pois 8.9.0 é a Versão de Suporte de Longo Prazo mais recente | |
| Exemplo Bitbucket 7.21.x pois 7.21.0 é a segunda versão mais recente da Versão de Suporte de Longo Prazo | |
| Bamboo | Exemplo Bamboo 9.5.x, pois 9.5.0 é a versão de funções mais recente |
| Exemplo Bamboo 9.2.x, pois 9.2.0 é a Versão de Suporte de Longo Prazo mais recente | |
| Crowd | Exemplo Crowd 5.3.x pois 5.3.0 é a versão de funções mais recente |
| Fisheye/Crucible | Exemplo Fisheye/Crucible 4.8.x, pois 4.8.0 é a versão de funções mais recente |
Nenhuma outra versão do produto receberia novas atualizações de segurança.
Upgrades frequentes garantem a segurança das instâncias do produto. É recomendado usar a versão mais recente com a atualização de segurança para as funções ou a versão LTS do produto.
Vulnerabilidades não críticas
Quando itens de segurança de gravidade Alta, Média ou Baixa forem descobertos, a Atlassian vai incluir uma atualização de segurança nos objetivos de nível de serviço listados no início deste documento. Se possível, a correção também pode ser adaptada para versões de suporte de longo prazo. A viabilidade da adaptação é influenciada por vários fatores, incluindo dependências de software, modificações arquitetônicas e problemas de compatibilidade, entre outros.
Para garantir que suas instalações contenham as correções de segurança mais recentes, faça upgrade sempre que uma versão de atualização de segurança estiver disponível.
Outras informações
O nível de gravidade das vulnerabilidades é calculado com base nos níveis de gravidade dos itens de segurança.
As políticas da Atlassian são sempre avaliadas com base nos comentários dos clientes e eventuais atualizações ou alterações são apresentadas nesta página.